La Secretaría Anticorrupción y Buen Gobierno intensifica ,de manera significativa, las verificaciones y sanciones en materia de protección de datos personales.
Poco se ha hablado de esto, pero durante 2026 se ha registrado un aumento significativo en los procedimientos de verificación (auditoría), así como de protección de derechos, iniciados por la Secretaría Anticorrupción y Buen Gobierno (SABG), nueva autoridad encargada de supervisar el cumplimiento de la normativa en materia de protección de datos personales. Dichos procedimientos se han caracterizado por un enfoque más riguroso y exhaustivo, al exigir un nivel de cumplimiento superior al que se llevaba a cabo por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).
Como antecedente, recordemos que la reforma constitucional en materia de simplificación orgánica, publicada el 20 de diciembre de 2024, extinguió al INAI y transfirió sus atribuciones a la Secretaría Anticorrupción y Buen Gobierno (SABG). En concordancia, la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) reconoce a la SABG como la autoridad competente en la materia. Como resultado de esta reforma, las funciones de supervisión, verificación y sanción en materia de protección de datos personales ahora son ejercidas por la Unidad de Protección de Datos Personales de la SABG.
Esta ha sido una larga transición en la que parecía todo detenido y en el limbo, situación en la que existía incertidumbre sobre cómo es que la SABG iba a funcionar, supervisar, vigilar y/o sancionar, cuestión que en los últimos meses ha quedado clara, pues la SABG, sus unidades de protección de datos personales y los funcionarios que conforman estas ya se encuentran debidamente integradas y trabajando.
Consideraciones relevantes:
1.- Incremento de procedimientos. Se observa un aumento en los procedimientos de verificación iniciados de oficio por la SABG, así como en aquellos promovidos por titulares con motivo del tratamiento indebido de sus datos personales. Esto lo podemos observar por el consecutivo de los expedientes y los números de procedimientos abiertos a la fecha, los cuales son significativamente mayores que los que traía el INAI en su gestión.
2.- Mayor nivel de escrutinio. La SABG exige evidencia documental que acredite el cumplimiento y no admite manifestaciones genéricas de los responsables del tratamiento. Sus procedimientos de verificación se distinguen por un alto grado de detalle y un escrutinio técnico exhaustivo.
3.- Nuevo Reglamento. Se prevé la próxima entrada en vigor del Reglamento de la LFPDPPP, el cual desarrollará diversas obligaciones previstas en la LFPDPPP y fortalecerá las facultades de supervisión de la SABG. Su entrada en vigor requerirá que los responsables del tratamiento revisen y adecuen sus políticas, procedimientos y controles internos para alinearse con las nuevas disposiciones y criterios de cumplimiento.
Es por ello que, ante la situación que enfrenta el país en un aumento en la supervisión y una baja cultura de cumplimiento en la materia, se recomienda de forma prioritaria lo siguiente:
- Verificar el cumplimiento integral a los principios y deberes previstos en la LFPDPPP, así como a los deberes de seguridad y confidencialidad.
- Implementar o actualizar su programa de cumplimiento en materia de protección de datos personales, contemplando avisos de privacidad, políticas, procedimientos, mecanismos de supervisión y la designación de un área responsable en la materia.
- Revisar el ciclo de vida de los datos personales, incluyendo la elaboración o actualización del inventario y mapeo de datos, la identificación de datos personales sensibles, los flujos y transferencias hacia terceros, así como demás aspectos relacionados con su tratamiento.
- Fortalecer los controles de cumplimiento y seguridad aplicables al tratamiento de datos personales, mediante la revisión de los procedimientos para el ejercicio de los derechos de los titulares, el análisis de riesgos, la evaluación de las medidas de seguridad físicas, técnicas y administrativas, así como la actualización del protocolo de atención a vulneraciones de seguridad.
- Verificar la documentación y las relaciones con terceros que tengan acceso a datos personales, incluyendo la incorporación y actualización de cláusulas de protección de datos en los contratos con proveedores, la capacitación del personal y la integración y conservación de un expediente de cumplimiento debidamente documentado y disponible para atender verificaciones de la SABG.
Sin duda, estamos ante el inicio de una nueva etapa en la forma de garantizar los derechos a la autodeterminación informativa, la privacidad y la protección de datos personales. Por ello, resulta fundamental que las organizaciones incorporen su cumplimiento como un asunto prioritario. Más allá del deber frente a los titulares de los datos personales, será indispensable adoptar medidas que permitan mitigar el riesgo de sanciones derivadas del incumplimiento de un marco normativo que comienza a ser aplicado por una nueva autoridad.
